La VPN air-gapped Google Distributed Cloud (GDC) supporta le seguenti crittografie e parametri di configurazione per i gateway VPN peer.
Ordine di proposta
La VPN GDC può fungere da iniziatore o risponditore alle richieste IKE a seconda dell'origine del traffico quando è necessaria una nuova associazione di sicurezza (SA).
Quando GDC VPN avvia una connessione VPN, propone gli algoritmi nell'ordine mostrato nelle tabelle delle cifrature supportate per ogni ruolo di cifratura. Il gateway VPN peer che riceve la proposta seleziona un algoritmo.
Se il gateway VPN peer avvia la connessione, GDC VPN seleziona una crittografia dalla proposta utilizzando lo stesso ordine mostrato nella tabella per ogni ruolo di crittografia.
A seconda di quale lato sia l'iniziatore o il risponditore, la cifra selezionata può essere diversa. Ad esempio, la crittografia selezionata potrebbe persino cambiare nel tempo man mano che vengono create nuove associazioni di sicurezza (SA) duranterotazione della chiavei.
Per evitare modifiche frequenti nella selezione delle cifrature, configura il gateway VPN peer in modo che proponga e accetti una sola cifratura per ogni ruolo di cifratura. Questa crittografia deve essere supportata sia dalla VPN air-gap di GDC sia dal tuo gateway VPN peer. Non fornire un elenco di cifrari per ogni ruolo di cifrario. Questa best practice garantisce che entrambe le parti del tunnel VPN air-gap GDC selezionino sempre la stessa crittografia IKE durante la negoziazione IKE.
Frammentazione IKE
GDC VPN supporta la frammentazione IKE come descritto dal protocollo di frammentazione IKEv2: https://www.rfc-editor.org/rfc/rfc7383.
Per risultati ottimali, Google consiglia di attivare la frammentazione IKE, se non è già attiva, sul gateway VPN peer.
Se la frammentazione IKE non è abilitata, i pacchetti IKE da GDC al gateway VPN peer di dimensioni superiori all'MTU del gateway vengono eliminati.
Alcuni messaggi IKE non possono essere frammentati, inclusi i seguenti:
IKE_SA_INITIKE_SESSION_RESUME
Per ulteriori informazioni, consulta la sezione Limitazioni all'indirizzo https://www.rfc-editor.org/rfc/rfc7383.
Tabelle di cifrari supportate
Queste tabelle di cifratura supportate forniscono le regole per la sostituzione di caratteri o gruppi di caratteri durante i processi di crittografia e decrittografia:
Fase 1
| Ruolo di Cipher | Cipher | Note |
|---|---|---|
| Crittografia e integrità |
|
In questo elenco, il primo numero è la dimensione del parametro ICV in byte (ottetti), mentre il secondo è la lunghezza della chiave in bit. Alcuni documenti potrebbero esprimere il parametro ICV (il primo numero) in bit (8 diventa 64, 12 diventa 96 e 16 diventa 128). |
| Funzione pseudo-random (PRF) |
|
Molti dispositivi non richiedono un'impostazione PRF esplicita. |
| Diffie-Hellman (DH) |
|
|
| Durata della fase 1 | 36.000 secondi (10 ore) |
Fase 2
| Ruolo di Cipher | Cipher | Note |
|---|---|---|
| Crittografia e integrità |
|
In questo elenco, il primo numero è la dimensione del parametro ICV in byte (ottetti), mentre il secondo è la lunghezza della chiave in bit. Alcuni documenti potrebbero esprimere il parametro ICV (il primo numero) in bit (8 diventa 64, 12 diventa 96 e 16 diventa 128). |
| Funzione pseudo-random (PRF) |
|
Molti dispositivi non richiedono un'impostazione PRF esplicita. |
| Diffie-Hellman (DH) |
|
|
| Durata della fase 2 | 10.800 secondi (3 ore) |
Configura IKE
Puoi configurare IKE sul gateway VPN peer per il routing dinamico, basato su route e basato su criteri.
I tunnel VPN GDC devono utilizzare IKE v2 per supportare il traffico IPv6.
Per configurare il gateway VPN peer e il tunnel per IKE, utilizza i parametri nella tabella seguente:
Per IKEv1 e IKEv2
| Impostazione | Valore |
|---|---|
| Modalità IPsec | Modalità tunnel ESP+Auth (da sito a sito) |
| Protocollo di autenticazione | psk |
| Shared Secret | Nota anche come chiave precondivisa IKE. Scegli una password efficace seguendo queste linee guida. La chiave precondivisa è sensibile perché consente l'accesso alla tua rete. |
| Inizia | auto (se il dispositivo peer si disconnette, la connessione dovrebbe riavviarsi
automaticamente) |
| PFS (Perfect Forward Secrecy) | on |
| DPD (Dead Peer Detection) | Consigliato: Aggressive. DPD rileva quando la VPN
viene riavviata e utilizza tunnel alternativi per instradare il traffico. |
| INITIAL_CONTACT (a volte chiamato uniqueids) |
Consigliato: on (a volte chiamato restart).
Scopo: rilevare i riavvii più rapidamente in modo da ridurre i tempi di inattività percepiti. |
| TSi (Traffic Selector - Initiator) | Reti subnet:gli intervalli specificati dal flag
Reti precedenti:l'intervallo della rete. |
| TSr (Traffic Selector - Responder) | IKEv2:gli intervalli di destinazione di tutte le route che hanno
IKEv1:arbitrariamente, l'intervallo di destinazione di una delle route che
ha |
| MTU | L'unità massima di trasmissione (MTU) del dispositivo VPN peer non deve superare i 1460 byte. Attiva la pre-frammentazione sul tuo dispositivo in modo che i pacchetti vengano prima frammentati e poi incapsulati. |
Parametri aggiuntivi solo per IKEv1
| Impostazione | Valore |
|---|---|
| IKE/ISAKMP | aes128-sha1-modp1024 |
| ESP | aes128-sha1 |
| Algoritmo PFS | Gruppo 2 (MODP_1024) |